Claude API Key erstellen: Anleitung und EU-Alternative
Claude API Key erstellen: Schlüsseltypen, Workspaces, Ablaufdatum und Kosten 2026, und warum DSGVO-sensible Teams besser IAM auf Bedrock oder Google nutzen.
TL;DR
Einen Claude API Key erstellen Sie in der Claude Console unter Settings, API keys: Namen vergeben, Ablaufdatum wählen, mit sich selbst oder einem Service Account verknüpfen und den sk-ant--Schlüssel einmalig kopieren. Der Key ist kostenlos, abgerechnet wird per Guthaben. Für DSGVO-Daten mit EU-Verarbeitung brauchen Sie keinen Anthropic-Key, sondern IAM auf Bedrock oder Google Cloud.
Wie erstellen Sie einen Claude API Key?
Melden Sie sich auf platform.claude.com an, öffnen Sie Settings, dann API keys, und klicken Sie auf Create key. Sie vergeben einen Namen, wählen ein Ablaufdatum, legen das verknüpfte Konto fest und begrenzen den Key idealerweise auf einen Workspace. Die Console zeigt den vollständigen Schlüssel genau einmal an.
Die Schritte folgen der Anthropic-Anleitung zum API Key, Stand 19. September 2026. Die Console ist englischsprachig, deshalb stehen die Menüpunkte hier im Original:
- Console-Konto anlegen oder anmelden auf platform.claude.com. Ein bezahltes Claude-Abo (Pro, Max, Team oder Enterprise) enthält keinen API-Zugang. Das Help Center nennt beides ausdrücklich getrennte Produkte.
- Guthaben kaufen unter Settings, Billing. Die API wird über vorausbezahlte Credits abgerechnet, laden Sie also vor dem ersten Aufruf Guthaben auf.
- Settings, API keys öffnen und auf Create key klicken.
- Dialog ausfüllen: sprechender Name (etwa
rechnungsbot-prod), Ablaufdatum, Linked account (Sie selbst oder ein Service Account) und möglichst genau ein Workspace. - Schlüssel kopieren und direkt in einen Secrets Manager legen. Er beginnt mit
sk-ant-und lässt sich später nicht mehr anzeigen. Verloren heißt: neuen Key erstellen. - Testen mit einer einzigen Anfrage.
Ist der Button Create key ausgegraut, erlaubt Ihre Rolle keine Key-Erstellung. Dann muss ein Organisations-Admin Ihre Rolle ändern oder einen Service-Account-Key für Sie anlegen.
Der erste Test im Terminal, mit der Modell-ID aus dem Quickstart:
export ANTHROPIC_API_KEY="sk-ant-api03-..."
curl https://api.anthropic.com/v1/messages -H "x-api-key: $ANTHROPIC_API_KEY" -H "anthropic-version: 2023-06-01" -H "content-type: application/json" -d '{"model":"claude-sonnet-5","max_tokens":256,"messages":[{"role":"user","content":"Hallo Claude"}]}'Im Response-Header steht anthropic-workspace-id. Daran sehen Sie, auf welchen Workspace der Aufruf gebucht wurde.
Welchen Schlüsseltyp sollten Sie wählen?
Für eigene Experimente nehmen Sie einen Personal Key, für alles Geteilte wie CI oder Produktion einen Service-Account-Key. Den alten Workspace Key sollten Sie meiden: Er hat keinen Besitzer und funktioniert weiter, wenn die Person das Unternehmen verlässt. Wer in AWS, Google Cloud oder Kubernetes läuft, ersetzt statische Keys durch Workload Identity Federation.
Die Authentifizierungs-Doku von Anthropic beschreibt drei Key-Typen und einen separaten Admin-Zugang:
| Zugang | Handelt als | Wird ungültig, wenn | Unsere Empfehlung |
|---|---|---|---|
| Personal Key | Sie, mit Ihren Rollen | Sie die Organisation verlassen (Key wird archiviert) | Lokale Entwicklung, Skripte |
| Service-Account-Key | Ein Service Account | Der Service Account archiviert oder aus dem Workspace entfernt wird | CI, Backends, Agenten |
| Workspace Key (Legacy) | Niemand | Abgelaufen, deaktiviert, gelöscht oder Workspace archiviert | Ablösen |
Admin API Key (sk-ant-admin...) |
Organisations-Admin | Er abläuft oder ein Admin ihn widerruft | Nur Automatisierung von Keys, Mitgliedern, Workspaces |
| Workload Identity Federation | Ihre Cloud- oder CI-Identität | Das kurzlebige Token abläuft | Produktion auf AWS, GCP, Azure, GitHub Actions |
Zwei Details kosten in der Praxis Zeit. Erstens: Ein Key ohne Workspace-Bindung muss bei jeder Anfrage den Header anthropic-workspace-id mitschicken, sonst antwortet die API mit Fehler 400. Binden Sie den Key an einen Workspace, entfällt das. Zweitens: Die Admin API kann weder einen nutzbaren API Key erzeugen noch einen verlorenen wiederherstellen, und für Einzelkonten steht sie gar nicht zur Verfügung, wie die Admin-API-Doku festhält.
Workload Identity Federation lohnt sich, sobald Ihre Anwendung ohnehin in einer Cloud läuft. Die Anwendung tauscht ein Identitätstoken aus AWS IAM, Google Cloud, Entra ID, Okta, GitHub Actions oder einem Kubernetes Service Account gegen ein kurzlebiges Claude-Token. Es gibt dann keinen sk-ant-String mehr, der leaken oder rotiert werden muss.
Wie ordnen Workspaces Keys und Kosten?
Ein Workspace ist ein Container innerhalb Ihrer Organisation für Keys, Mitglieder, Ausgabengrenzen und Rate Limits. Jede Organisation hat einen Default Workspace, der sich weder umbenennen noch löschen lässt, und kann standardmäßig bis zu 100 Workspaces haben. Wir empfehlen einen Workspace pro Umgebung oder Produkt, jeweils mit eigener Ausgabengrenze.
Workspaces anlegen dürfen nur Organisations-Admins, und zwar unter Settings, Workspaces, Create workspace, wie im Workspace-Leitfaden beschrieben. Rollen vergeben Sie pro Workspace:
| Workspace-Rolle | Was sie darf |
|---|---|
| Workspace User | Nur Playground |
| Workspace Limited Developer | Keys erstellen und verwalten, API nutzen, kein Session Tracing, keine Datei-Downloads |
| Workspace Developer | Keys erstellen und verwalten, API nutzen |
| Workspace Admin | Volle Kontrolle über Einstellungen und Mitglieder |
| Workspace Billing | Abrechnung einsehen (geerbt von der Billing-Rolle der Organisation) |
Jeder Workspace hat zwei Reiter für Limits: Spend limits (Monatsgrenze plus Warnschwellen) und Rate limits (Anfragen, Input- und Output-Tokens pro Minute je Modellklasse). Workspace-Limits dürfen unter den Organisationslimits liegen, nie darüber. Auf dem Default Workspace können Sie überhaupt keine Limits setzen. Allein deshalb gehört Produktion nicht dorthin.
Vorsicht beim Archivieren: Ein archivierter Workspace archiviert innerhalb von Sekunden alle darin erstellten Keys, und das lässt sich nicht rückgängig machen. Außerdem ist der Prompt Cache auf der Claude API pro Workspace isoliert. Wer eine Anwendung auf zwei Workspaces verteilt, verschenkt Cache-Treffer.
Wie schützen Sie Ihren Claude API Key?
Behandeln Sie den Key wie ein Passwort: im Secrets Manager oder als Umgebungsvariable, nie im Code, mit Ablaufdatum, auf einen Workspace begrenzt und regelmäßig rotiert. Anthropic empfiehlt eine Rotation etwa alle 90 Tage. Taucht ein Key in einem öffentlichen GitHub-Repository auf, deaktiviert Anthropic ihn automatisch.
Ein schlankes Least-Privilege-Setup sieht so aus:
- Ein Key pro Anwendung und Umgebung. Getrennte Keys für Entwicklung, Staging und Produktion machen das Sperren schmerzlos. Genau das empfehlen die Best Practices im Help Center.
- An einen Workspace binden und Entwicklern die Developer-Rolle nur in den Workspaces geben, die sie wirklich brauchen.
- Ablaufdatum setzen. Zur Wahl stehen 3 Stunden, 1 Tag, 7 Tage, 30 Tage, eine eigene Dauer oder Never. Das Ablaufdatum lässt sich später nicht ändern, und eine Organisationsrichtlinie kann Never komplett sperren.
- Per Umgebungsvariable einspielen und
.envin die.gitignoreaufnehmen. In Cloud-Umgebungen gehört der Key in einen verschlüsselten Secret Store statt in eine dotenv-Datei. - Rotieren. Neuen Key erstellen, ausrollen, Traffic prüfen, alten Key löschen. Bei Keys mit mindestens 14 Tagen Laufzeit mailt Anthropic der erstellenden Person 7 Tage vor Ablauf.
- Notbremsen kennen. Disable ist umkehrbar, Delete ist endgültig.
Das SDK liest ANTHROPIC_API_KEY automatisch, der Schlüssel taucht im Code also nie auf:
# pip install anthropic
# export ANTHROPIC_API_KEY="sk-ant-api03-..." (aus dem Secrets Manager)
import anthropic
client = anthropic.Anthropic() # liest ANTHROPIC_API_KEY
message = client.messages.create(
model="claude-sonnet-5",
max_tokens=1024,
messages=[{"role": "user", "content": "Fasse unsere Key-Rotationsrichtlinie in drei Punkten zusammen."}],
)
print(next(b.text for b in message.content if b.type == "text"))Das GitHub-Sicherheitsnetz existiert, ist aber schmal. GitHub durchsucht öffentliche Repositories, meldet Funde an Anthropic, und Anthropic deaktiviert den Key und informiert die Besitzerin oder den Besitzer per E-Mail. Private Repositories, Slack-Nachrichten und Logdateien deckt das nicht ab.
Was kostet ein Claude API Key?
Der Key selbst kostet nichts. Sie zahlen Tokens aus einem vorausbezahlten Guthaben, zum gleichen Listenpreis für jeden Key: Claude Sonnet 5 kostet 2 USD pro Million Input-Tokens und 10 USD pro Million Output-Tokens. Credits verfallen ein Jahr nach dem Kauf und werden nicht erstattet. Größere Organisationen können über den Vertrieb eine monatliche Rechnung vereinbaren. Die Claude Preise der Abo-Pläne stehen getrennt in unserer Übersicht Claude Kosten 2026. Alle Modelle und Plattformen mit EU-Aufschlag vergleicht unser Artikel Claude API Kosten 2026.
Aktuelle Listenpreise laut Anthropic-Preisseite, in USD pro Million Tokens:
| Modell | API-Modell-ID | Input | Output |
|---|---|---|---|
| Claude Fable 5.1 | claude-fable-5-1 |
10,00 | 50,00 |
| Claude Opus 5 | claude-opus-5 |
5,00 | 25,00 |
| Claude Sonnet 5 | claude-sonnet-5 |
2,00 | 10,00 |
| Claude Haiku 4.5 | claude-haiku-4-5 |
1,00 | 5,00 |
Zusätzlich sitzt Ihre Organisation in einer Nutzungsstufe mit monatlicher Ausgabengrenze. Die Rate-Limit-Seite nennt 500 USD für Start, 1.000 USD für Build und 200.000 USD für Scale. Ist die Grenze erreicht, liefern Anfragen bis zum Monatsersten HTTP 429 mit dem Code enforced_spend_limit_reached, und automatische Retries helfen nicht. Neue Organisationen starten unter Umständen in einer Evaluation-Stufe mit niedrigeren Limits. In der Start-Stufe erlaubt Sonnet 5 1.000 Anfragen und 2 Millionen Input-Tokens pro Minute.
Unser Rat: Setzen Sie am ersten Tag eine eigene Ausgabengrenze unterhalb der Stufengrenze und eine strengere pro Workspace. Fehlgeschlagene Anfragen werden laut Billing-Artikel nicht berechnet, eine Endlosschleife mit gültigen Anfragen aber sehr wohl. Umsatzsteuer und Abrechnung in Euro regelt Anthropic in separaten Artikeln, die wir hier nicht geprüft haben; alle Preise gelten in USD.
Brauchen Unternehmen mit DSGVO-Anforderungen überhaupt einen Anthropic-Key?
Oft nicht. Die Claude API kennt als inference_geo nur global und us, ein Anthropic-Key kann also keine Verarbeitung in der EU garantieren. Unternehmen mit EU-Datenresidenz rufen Claude besser über Amazon Bedrock mit einer IAM-Rolle oder über Google Cloud mit einem Service Account auf. Beides kommt ohne sk-ant-Key aus, die Zugriffskontrolle bleibt in Ihrem Cloud-IAM.
Genau diesen Teil lassen die meisten Anleitungen zum API Key weg. Die Anthropic-Seite zur Datenresidenz listet nur global (Standard) und us als Verarbeitungsort, US-only kostet den Faktor 1,1. Bei Bedrock und Google Cloud ist der Cloud-Anbieter Auftragsverarbeiter, Ihr AVV läuft also mit AWS oder Google. Beide bieten EU-gebundene Endpunkte mit 10 % Aufschlag. Was Anthropic in den einzelnen Tarifen mit Firmendaten macht, erklärt unser Artikel zu Claude Datenschutz im Unternehmen.
| Weg | Zugangsdaten | Verarbeitung in der EU | Sonnet 5 Input/Output (USD pro 1 Mio. Tokens) |
|---|---|---|---|
| Claude API | sk-ant-Key oder WIF-Token |
Nein (nur global oder USA) | 2,00 / 10,00 |
| Amazon Bedrock, EU-Profil | IAM-Rolle, kein Key | Ja, EU-Regionen | 2,20 / 11,00 |
Google Cloud, Multi-Region eu |
Service Account, kein Key | Ja, EU-Mitgliedstaaten | 2,20 / 11,00 |
Dasselbe Python-SDK von Anthropic deckt alle drei Wege ab. Es ändern sich nur Client-Klasse und Zugangsdaten:
# 1) Claude API mit Anthropic-Key (Verarbeitung global oder USA)
# pip install anthropic | export ANTHROPIC_API_KEY=...
import anthropic
api = anthropic.Anthropic()
api.messages.create(model="claude-sonnet-5", max_tokens=512, messages=[{"role": "user", "content": "Hallo"}])
# 2) Amazon Bedrock mit IAM, EU-Inference-Profil (kein Anthropic-Key)
# pip install -U "anthropic[bedrock]" | Credentials aus der AWS-Kette: SSO, Rolle, ECS Task Role
from anthropic import AnthropicBedrock
bedrock = AnthropicBedrock(aws_region="eu-central-1")
bedrock.messages.create(model="eu.anthropic.claude-sonnet-5", max_tokens=512, messages=[{"role": "user", "content": "Hallo"}])
# 3) Google Cloud mit Service Account, EU-Multi-Region (kein Anthropic-Key)
# pip install -U "anthropic[vertex]" | gcloud auth application-default login oder angehängter Service Account
from anthropic import AnthropicVertex
vertex = AnthropicVertex(project_id="mein-eu-projekt", region="eu")
vertex.messages.create(model="claude-sonnet-5", max_tokens=512, messages=[{"role": "user", "content": "Hallo"}])Auf Google Cloud braucht der Service Account die Rolle roles/aiplatform.user. Auf Bedrock beschränken Sie die IAM-Policy auf das EU-Profil und verbieten globales Routing, wie in unserer Anleitung zu Claude auf AWS Bedrock in Frankfurt gezeigt. Die Google-Seite mit dem eu-Endpunkt und seinen Quoten behandelt der Leitfaden zu Claude auf Vertex AI in Europa. Den rechtlichen Vergleich aller Wege finden Sie im DSGVO-Anbietervergleich für Claude.
Zwei Abwägungen gehören dazu. Die Cloud-Wege hinken bei einigen Funktionen hinterher: Bedrock und Google Cloud unterstützen weder Files API noch Message Batches noch die Admin API. Und der Anthropic-Key bleibt der schnellste Weg zum Prototyp. Unsere Position: Prototyp mit Personal Key und synthetischen Daten, alles mit personenbezogenen Daten danach auf einen EU-Cloud-Weg umziehen. Für Entwicklerteams zeigt die Anleitung Claude Code auf Bedrock in der EU einrichten, wie das Coding-Tool ganz ohne Anthropic-Key läuft.
FAQ
Die Antworten sind für sich lesbar und geben die Anthropic-Dokumentation mit Stand 19. September 2026 wieder. Menüpunkte und Limits ändern sich, prüfen Sie deshalb die verlinkten Seiten, bevor Sie etwas in eine interne Richtlinie oder einen AVV übernehmen.
Ist ein Claude API Key kostenlos?
Ja. Keys zu erstellen kostet nichts, und Sie können beliebig viele anlegen. Bezahlt werden nur die genutzten Tokens, aus vorausbezahltem Guthaben unter Settings, Billing. Credits verfallen ein Jahr nach dem Kauf und werden nicht erstattet. Ein Claude-Pro- oder Team-Abo enthält keine API-Nutzung.
Was kostet eine Anfrage an die Claude API?
Das hängt von den Tokens ab, nicht von der Anzahl der Anfragen. Claude Sonnet 5 kostet 2 USD pro Million Input-Tokens und 10 USD pro Million Output-Tokens. Eine Anfrage mit 2.000 Input- und 500 Output-Tokens kostet damit rund 0,009 USD. Batch-Verarbeitung halbiert den Preis, Cache-Lesezugriffe kosten ein Zehntel des Input-Preises.
Personal Key oder Service-Account-Key: Was nehme ich für die Produktion?
Den Service-Account-Key. Ein Personal Key handelt als eine Person und wird archiviert, sobald sie die Organisation verlässt, und dann steht Ihre Produktion. Ein Service Account ist eine nicht-menschliche Identität, die ein Admin verwaltet. Noch besser für Cloud-Workloads ist Workload Identity Federation mit kurzlebigen Tokens statt statischem Key.
Ich habe meinen Claude API Key verloren. Kann ich ihn wiederherstellen?
Nein. Die Console zeigt den vollständigen Key nur einmal bei der Erstellung, die Admin API liefert nur einen gekürzten Hinweis. Erstellen Sie einen neuen Key, rollen Sie ihn aus und löschen Sie danach den alten. Besteht Leak-Verdacht, deaktivieren Sie den alten Key sofort; Deaktivieren ist umkehrbar, Löschen nicht.
Kann ich mit einem Anthropic API Key DSGVO-konform in der EU verarbeiten?
Eine Verarbeitung ausschließlich in der EU bekommen Sie mit einem Anthropic-Key Stand September 2026 nicht, denn die Claude API kennt nur globale und US-Verarbeitung. Für EU-Datenresidenz nutzen Sie Amazon Bedrock mit dem Inference-Profil eu. oder Google Cloud mit dem Multi-Region-Endpunkt eu. Beide authentifizieren über Cloud-IAM und kosten 10 % mehr als die globale Variante.
Warum liefert mein API Key einen Fehler 400 zur Workspace-ID?
Ihr Key ist nicht an einen einzelnen Workspace gebunden. Solche Keys müssen bei jeder Anfrage den Header anthropic-workspace-id mit einer wrkspc_-ID senden. Ergänzen Sie den Header, im Python-SDK etwa über default_headers, oder erstellen Sie einen neuen Key mit Bindung an genau einen Workspace.
Quellen
- Anthropic Docs: Get your Claude API key (19. September 2026)
- Anthropic Docs: Authentication (19. September 2026)
- Anthropic Docs: Workspaces (19. September 2026)
- Anthropic Docs: Rate limits (19. September 2026)
- Anthropic Docs: Admin API (19. September 2026)
- Claude Help Center: How do I pay for my Claude API usage? (19. September 2026)
- Claude Help Center: API key best practices (19. September 2026)
- Anthropic Docs: Data residency (18. September 2026)
- Anthropic Docs: Pricing (18. September 2026)
- Anthropic Docs: Claude on Google Cloud (19. September 2026)
- Anthropic Docs: Claude on Amazon Bedrock (InvokeModel) (19. September 2026)